如何啟用和管理Microsoft流量轉送配置檔

發行項
11/01/2024

啟用Microsoft配置檔后，Microsoft Entra 網際網路存取會取得要 Microsoft 服務的流量。 Microsoft配置檔會管理下列原則群組：

Exchange Online
SharePoint Online 和 Microsoft OneDrive。
Microsoft 365 Common and Office Online

必要條件

若要為租用戶啟用Microsoft流量轉送配置檔，您必須具備：

Microsoft Entra ID 中的全球安全存取管理員角色，可啟用流量設定檔。
條件式存取系統管理員角色，可建立條件式存取原則並與之互動。
產品需要授權。如需詳細資訊，請參閱什麼是全球安全存取的授權一節。如有需要，您可以購買授權或取得試用版授權。

已知的限制

個別服務會持續新增至Microsoft流量配置檔。目前，Microsoft Entra ID、Microsoft Graph、Exchange Online 和 SharePoint Online 都支援作為Microsoft流量配置檔的一部分
如需Microsoft流量配置檔的其他限制，請參閱 Windows 用戶端已知限制

啟用Microsoft流量配置檔

以全球安全存取管理員身分登入 Microsoft Entra 系統管理中心。
瀏覽至 [全球安全存取> [連線]> [流量轉送]。
啟用Microsoft流量配置檔。 Microsoft流量會從所有用戶端裝置開始轉送至Microsoft的安全性服務 Edge （SSE） Proxy，您可以在其中設定Microsoft流量特定的進階安全性功能。

Microsoft流量原則

若要管理Microsoft流量轉送原則中包含的詳細數據，請選取Microsoft流量原則的 [檢視] 連結。

系統會列出原則群組，並顯示一個核取方塊，指出原則群組是否已啟用。展開原則群組，以檢視群組中包含的所有 IP 和 FQDN。

原則群組包含下列詳細資料：

目的地類型：FQDN 或 IP 子網路
目的地：FQDN 或 IP 子網路的詳細資料
連接埠：與 IP 位址合併以形成網路端點的 TCP 或 UDP 連接埠
通訊協定：TCP (傳輸控制通訊協定) 或 UDP (使用者資料包通訊協定)
動作：轉送或略過

您可以設定流量擷取規則來略過流量取得。如果您這麼做，使用者仍然可以存取資源;不過，全域安全存取服務不會處理流量。您可以略過流量到特定 FQDN 或 IP 位址、配置檔內的整個原則群組，或整個Microsoft配置檔本身。如果您只需要轉送原則群組內的部分Microsoft資源，請啟用群組，然後據此變更 詳細數據中的 [動作 ]。

重要

當規則在Microsoft流量配置檔中設定為 [略過] 時，因特網存取流量配置檔將不會取得此流量。即使已啟用因特網存取配置檔，略過已略過全域安全存取擷取，並使用該用戶端的網路路由路徑來輸出至因特網。 Microsoft流量配置檔中可供取得的流量只能在Microsoft流量配置檔中取得。

下列範例顯示將 *.sharepoint.com FQDN 設定為 [略過]，因此不會將流量轉送至服務。

如果全球安全存取用戶端無法連線到服務 (例如，因為授權或條件式存取失敗)，服務會「略過」流量。流量會以「直接和本機」方式傳送，而不是被封鎖。在此案例中，您可以為符合規範的網路檢查 (部分機器翻譯) 建立條件式存取原則，以在用戶端無法連線到服務時封鎖流量。

連結的條件式存取原則

條件式存取原則 (部分機器翻譯) 會建立並套用至 Microsoft Entra ID 條件式存取區域中的流量轉送設定檔。例如，您可以在使用者為Microsoft流量配置檔中的服務建立網路連線時，建立需要相容裝置的原則。

如果您在 [連結的條件式存取原則] 區段中看到「無」，則不會有連結到流量轉送設定檔的條件式存取原則。若要建立條件式存取原則，請參閱透過全球安全存取的通用條件式存取。

編輯現有的條件式存取原則

如果流量轉送設定檔具有連結的條件式存取原則，您可以檢視和編輯該原則。

針對 [連結的條件式存取原則]，選取 [檢視] 連結。
從清單中選取原則。原則的詳細資料會在 [條件式存取] 中開啟。

Microsoft流量配置檔遠端網路指派

您可以將流量設定檔指派給遠端網路，如此便可將網路流量轉送至全球安全存取，而不需在終端使用者裝置上安裝用戶端。只要該裝置位於客戶駐地設備 (CPE) 後方，就不需要用戶端。您必須先建立遠端網路，才能將其新增至設定檔。如需詳細資訊，請參閱如何建立遠端網路 (部分機器翻譯)。

若要將遠端網路指派給Microsoft設定檔：

以全球安全存取管理員身分登入 Microsoft Entra 系統管理中心。
瀏覽至 [全球安全存取> [連線]> [流量轉送]。
從 [移除網路指派] 區段，選取設定檔的 [檢視] 連結。
從清單中選取遠端網路，然後選取 [新增]。

使用者與群組指派

您可以將Microsoft配置檔的範圍設定為特定使用者和群組，而不是將流量配置檔套用至所有使用者。若要深入了解使用者和群組指派，請參閱如何使用流量轉送設定檔來指派和管理使用者和群組。

下一步

開始使用Microsoft流量配置檔的下一個步驟是在使用者裝置上安裝及設定全域安全存取用戶端

如需流量轉送的詳細資訊，請參閱下列文章：

了解流量轉送設定檔 (部分機器翻譯)
瞭解Microsoft流量轉送配置檔

共用方式為